Leads so einfach Zurück

Datenschutzerklärung

Stand: 12. Oktober 2026

Diese Erklärung beschreibt, wie die Nadavia GmbH (nachfolgend „wir“) als Anbieter der Plattform Leads so einfach (leads-so-einfach.de) personenbezogene Daten verarbeitet. Sie gilt für die Marketing-Webseite sowie für die Plattform-Nutzung durch unsere Geschäftskunden (z. B. Versicherungsmakler, Fitnessstudios, Agenturen) und deren Mitarbeitende.

Wichtig zur Rolle: Für die Daten von Endkunden (Leads) unserer Geschäftskunden sind wir Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Verantwortlicher ist der jeweilige Mandant (Makler, Studio, Agentur, …), der die Plattform einsetzt. Auskunfts- und Löschanträge zu Lead-Daten richtest du bitte direkt an den jeweiligen Mandanten — die plattformeigene DSAR-Strecke ist unter /datenschutz/<tenant-slug> erreichbar.

1. Verantwortlicher

Nadavia GmbH
Teichweg 38, 56564 Neuwied, Deutschland
E-Mail: info@nadavia.de

2. Datenschutzbeauftragter

Eine externe Beauftragte / ein externer Beauftragter ist nicht bestellt; gesetzlich ist dies aktuell nicht zwingend erforderlich. Anfragen erreichen uns unter der oben genannten E-Mail.

3. Zwecke und Rechtsgrundlagen der Verarbeitung

3.1 Bereitstellung der Webseite

Beim Aufruf von leads-so-einfach.de werden vom Browser automatisch Server-Logs übertragen (IP-Adresse, Zeitpunkt, User-Agent, Referrer). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb). Speicherdauer: max. 30 Tage.

3.2 Plattform-Nutzung (Login, CRM-Funktionen)

Zur Anmeldung und Nutzung verarbeiten wir E-Mail-Adresse, Name, Tenant- und Rollenzuordnung sowie Sitzungsmetadaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: für die Dauer der Vertragsbeziehung sowie gesetzliche Aufbewahrungsfristen (z. B. § 257 HGB, § 147 AO bis 10 Jahre).

3.3 Kontaktanfragen / Demo-Termine

Bei Kontaktaufnahme (E-Mail, Demo-Buchung) werden die übermittelten Angaben zur Bearbeitung gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

3.4 Optionaler Google-Kalender für Fitnessstudios

Zweck und Freigabe. Als Studio-Inhaber oder Administrator kannst du freiwillig einen gemeinsamen Google-Kalender mit Leads so einfach verbinden. Damit gleichen wir CRM-Termine ab und berücksichtigen belegte Zeiten bei neuen Buchungen. Du erteilst den Zugriff direkt bei Google; dein Google-Passwort erhalten wir nicht. Wir benötigen die Berechtigung, deine Kalenderliste zu lesen sowie Kalendertermine zu lesen, anzulegen, zu ändern und zu löschen. Diese Google-Berechtigungen können mehrere Kalender umfassen; unsere Synchronisierung verwendet den von dir ausgewählten Studiokalender. Gmail, Kontakte und Drive werden durch diese Verbindung nicht freigegeben.

Verarbeitete Daten. Für Auswahl und Abgleich verarbeiten wir Kalenderkennung, Kalendername, Zeitzone, Zugriffsrolle, technische Terminkennungen und Änderungsstände, Beginn, Ende und Terminstatus. Deinen eigenen Zusagestatus berücksichtigen wir, damit abgelehnte Termine keine Zeit blockieren. Die für den dauerhaften Zugriff benötigten Zugangstokens speichern wir serverseitig verschlüsselt. Bei CRM-Terminen übertragen wir Titel, Ort, Beginn und Ende sowie den allgemeinen Hinweis „Termin aus Leads so einfach“ an Google. Verschiebungen und Absagen verknüpfter Termine gleichen wir in beide Richtungen ab.

Belegte Zeiten oder Terminnamen. Andere belegte Google-Termine speichern und zeigen wir standardmäßig nur als Zeitintervalle. Erst wenn du in der Kalenderverbindung „Auch Terminnamen anzeigen“ auswählst, rufen wir zusätzlich deren Titel ab und speichern sie für die Anzeige. Diese Auswahl gilt für das gesamte Studio: Auch andere berechtigte Studio-Mitglieder können die Terminnamen sehen. Beschreibungen und Teilnehmerlisten dieser Google-Termine speichern wir nicht. Beim Zurückwechseln zu „Nur belegte Zeiten“ entfernen wir die gespeicherten Titel. Als verfügbar markierte Termine werden nicht als Belegung übernommen.

Empfänger und Nutzung. Der Abgleich überträgt Daten zwischen Google und unserer Plattform. Für Betrieb und Speicherung setzen wir Vercel und Supabase ein (siehe Abschnitt 5). Innerhalb der Plattform schützt die Zuordnung zum jeweiligen Studio den Zugriff; berechtigte Plattform-Administratoren haben ebenfalls technischen Zugriff. Die Termin-KI erhält aus der Google-Belegungsprüfung nur verfügbare Zeiten, keine Google-Terminnamen oder -beschreibungen. Google-Kalenderdaten verkaufen wir nicht und verwenden sie weder für Werbung noch für das Training allgemeiner KI-Modelle. Die Verwendung und Weitergabe der über Google APIs erhaltenen Informationen erfolgt gemäß der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

Speicherung und Trennen. Für andere Google-Termine erneuern wir bei erfolgreichen Abgleichen die gespeicherte Belegung für 35 Tage zurück und 90 Tage voraus. Verbindungsdaten und technische Zuordnungen verknüpfter CRM-Termine bleiben für den laufenden Abgleich gespeichert. Über Kalender → Kalenderverbindung → „Verbindung trennen“ löschst du die gespeicherten Zugangstokens, Belegtzeiten einschließlich optionaler Terminnamen und technischen Zuordnungen aus der laufenden Plattform. Bereits vorhandene CRM- und Google-Termine bleiben bestehen. Zusätzlich kannst du die Freigabe in deinem Google-Konto widerrufen. Ein alleiniger Widerruf bei Google beendet den Zugriff, löscht aber nicht automatisch die bereits im CRM gespeicherten Daten.

Für die im Auftrag des Studios verarbeiteten Kalenderdaten gilt die oben beschriebene Rollenverteilung: Das Studio ist für die zulässige Nutzung der Daten seiner Mitarbeitenden und Interessenten verantwortlich. Die technische Freigabe bei Google ersetzt diese Prüfung nicht. Informationen zu Googles eigener Datenverarbeitung findest du in der Datenschutzerklärung von Google.

4. Cookies & lokaler Speicher

Wir setzen ausschließlich technisch notwendige Cookies — insbesondere ein Session-Cookie für den Login (Supabase-Auth) und ein lse_tenant-Cookie zum Speichern des aktiven Kontos. Beim Verbinden mit Google sichert außerdem ein kurzlebiges Cookie (lse_google_calendar_oauth, maximal zehn Minuten) die Zuordnung und Sicherheit des Anmeldevorgangs. Eine Einwilligung ist hierfür gemäß § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich. Tracking- oder Marketing-Cookies setzen wir nicht.

5. Auftragsverarbeiter & Subdienstleister

Mit allen unten genannten Dienstleistern besteht (oder wird vor produktivem Einsatz geschlossen) ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Drittlandtransfers werden über EU-Standardvertragsklauseln und ergänzende Maßnahmen abgesichert.

  • Supabase (Datenbank, Auth, Storage) — Hosting in der EU (Frankfurt). Anbieter: Supabase Inc., USA / EU-Region.
  • Vercel (Hosting, Edge-Funktionen) — Region FRA1 (Frankfurt). Anbieter: Vercel Inc., USA.
  • Resend (transaktionaler E-Mail-Versand). Anbieter: Resend, Inc., USA.
  • OpenAI (KI-Antworten und deren Prüfung, Wissenssuche, Verarbeitung von Bildern und Dokumenten sowie Audio-Transkription). Die Verarbeitung erfolgt über die OpenAI-API; hierbei werden Daten auch in den USA verarbeitet.
  • Sentry (Fehler-Monitoring). Anbieter: Functional Software, Inc., USA.
  • Stripe (Zahlungsabwicklung, sofern aktiv). Anbieter: Stripe Payments Europe Ltd., Irland.
  • Meta / WhatsApp Cloud API (sofern aktiv, für WhatsApp-Kommunikation). Anbieter: Meta Platforms Ireland Ltd., Irland.

6. KI-gestützte Verarbeitung

Eingehende WhatsApp- und Mail-Nachrichten können durch eine KI-Komponente (OpenAI) verarbeitet werden, um Antwortvorschläge zu erzeugen oder einfache Routineanfragen automatisiert zu beantworten. Je nach Konfiguration wird vor dem Versand zusätzlich eine branchenspezifische Prüfung der Antwort durchgeführt. Die Inhalte und Metadaten werden zu Auditzwecken in der Tabelle ai_conversation_turnsgespeichert. Aufbewahrungsfrist: je nach Branche des Mandanten zwischen 1 und 5 Jahren (Versicherungs- Mandanten: 5 Jahre gemäß § 34d GewO; Fitness und sonstige: i. d. R. 12 Monate).

7. Gesprächs- und Beratungsprotokolle

Bei bestimmten Ereignissen (z. B. Angebots-Versand oder Termin-Bestätigung) kann die Plattform automatisch ein Gesprächsprotokoll als PDF inkl. SHA-256-Hash erzeugen. Für Versicherungs-Mandantenentspricht das Protokoll den Anforderungen nach § 61 VVG i. V. m. § 34d GewO (Aufbewahrung 5 Jahre). Für andere Branchen (z. B. Fitnessstudios) wird ein neutrales Gesprächsprotokoll ohne versicherungsrechtliche Pflichthinweise erstellt; die Aufbewahrung richtet sich nach der Tenant-Konfiguration.

8. Speicherdauer / Löschkonzept

Personenbezogene Daten werden nach Ende der Vertragsbeziehung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (insb. § 257 HGB, § 147 AO, § 61 VVG). Ein automatischer Datenretention-Cron-Job läuft täglich um 03:00 Uhr.

9. Deine Rechte

  • Auskunft (Art. 15 DSGVO)
  • Berichtigung (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch (Art. 21 DSGVO)
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — zuständig in Rheinland-Pfalz: LfDI Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

10. Datensicherheit

Wir verwenden TLS-Verschlüsselung in Transit, AES-256-GCM-Verschlüsselung sensibler Tokens at rest, Row-Level-Security in der Datenbank zur strikten Trennung der Kundendaten sowie ein rollenbasiertes Zugriffskonzept. Optional erzwingbare Multi-Faktor-Authentifizierung pro Konto.

11. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen an der Plattform oder geltendem Recht dies erfordern. Die jeweils aktuelle Fassung ist hier abrufbar.